Working Draft · AI Era Execution Security LanguageThis article is part of the Havenlon Execution Security Language project.The terminology and definitions presented here describe the currentworking draft and may evolve as the discipline matures.AI 时代执行安全语言体系工作草案本系列旨在建立 AI 时代执行安全的共同语言。本文中的术语与定义代表当前工作草案将随着理论研究、工程实践和社区讨论持续修订4. AI AgentAI 智能体一句话定义AI Agent是能够围绕目标获取上下文、生成计划、选择工具、执行动作并根据结果继续决策的软件主体。严格定义一个 AI Agent 通常包含模型系统提示上下文记忆规划模块工具集合权限状态反馈循环执行记录。Agent 与普通聊天模型的区别是Agent 不只生成内容还能够将内容转化为后续动作。Agent 的行为可能受到用户目标系统指令外部数据历史记忆工具结果其他 AgentPrompt Injection模型不确定性共同影响。上位概念Agentic SystemSoftware Agent下位概念Personal AgentEnterprise AgentOperations AgentPayment AgentSecurity AgentGovernance Agent相关概念Agent IdentityAgent IntentTool CallingAgent AuthorityAgent Hallucination权力边界AI Agent 可以生成和提出 Intent但不能仅凭模型输出直接获得最终执行权。约束机制Agent IdentityIntent 结构化Tool PermissionTool Execution Boundary独立审批本地 Policy最终重新验证。结果目标让 Agent 成为受治理的执行参与者而不是拥有开放式现实权限的软件超级用户。在 Havenlon 中AI Agent 被视为高不确定性 Proposer其所有高风险动作都必须进入正常执行链。5. Agentic System智能体系统一句话定义智能体系统是由一个或多个 AI Agent、工具、记忆、规划、通信和执行组件组成的目标驱动系统。严格定义Agentic System 可能包含主 Agent专业子 Agent任务规划器工具路由器长期记忆知识库外部 API执行队列人工监督自动评估器恢复机制。在多 Agent 系统中一个 Agent 可能委托另一个 Agent接受另一个 Agent 的结果为另一个 Agent 生成上下文调用不同工具聚合多个判断自动继续后续执行。这会产生新的权力传播问题一个 Agent 的权限是否会通过任务委托自动传递给另一个 Agent上位概念AI SystemAutomation System下位概念Single-Agent SystemMulti-Agent SystemHierarchical Agent SystemCollaborative Agent SystemAutonomous Agent Network相关概念Agentic ExecutionDelegated ExecutionAuthority InheritanceAutomation ChainMulti-Agent Collusion权力边界Agent 之间的任务委托不能自动传递完整工具权限和执行权。约束机制Agent 身份分离角色权限非传递授权独立 Tool ScopeIntent Rebinding委托证据最终执行边界。结果目标让多 Agent 协作增加能力但不形成隐式、无限的执行权继承链。在 Havenlon 中不同 Agent 可以分别提出和处理任务但最终执行候选必须绑定明确来源、作用域和治理状态。6. Agentic Execution智能体执行一句话定义智能体执行是 Agent 根据开放目标自行组织步骤、选择工具并推动真实动作发生的执行模式。严格定义Agentic Execution 通常包括接收目标 → 获取上下文 → 生成计划 → 选择工具 → 构造参数 → 调用工具 → 观察结果 → 修改计划 → 继续执行与固定自动化相比它具有动态路径动态工具选择动态参数动态重试动态目标解释动态步骤数量动态终止条件。因此安全系统不能只验证这个 Agent 有没有调用工具的权限还必须验证这一次具体 Intent、对象、参数和上下文是否应该执行上位概念ExecutionAgentic System下位概念Single-Step Agentic ExecutionMulti-Step Agentic ExecutionCross-Tool ExecutionMulti-Agent Execution相关概念Tool CallingAgent IntentExecution Path MutationAutonomous ExecutionTool Execution Boundary权力边界Agent 不能因为拥有长期工具权限就让每一次动态生成的动作自动获得许可。约束机制Per-Intent AuthorizationTool ScopeStep LimitContext BindingFinal RevalidationExecution SlotEvidence Chain。结果目标让动态计划仍然收敛到有限、可验证和可拒绝的执行动作。在 Havenlon 中每个高风险 Tool Call 都需要转化为结构化 Execution Intent而不是直接接受模型生成的调用参数。7. Autonomous Execution自主执行一句话定义自主执行是系统在没有逐次人工批准的情况下根据预设目标和约束持续产生真实动作的执行模式。严格定义自主执行不等于无限自治。安全自主执行必须明确自主动作范围时间窗口额度频率工具集合对象白名单停止条件异常条件是否允许修改自身目标是否允许扩大权限是否允许调用其他 Agent是否允许治理变更。自主执行适合低风险可逆高频明确作用域结果可验证灾难半径有限的任务。上位概念Agentic ExecutionAutomation下位概念Bounded Autonomous ExecutionScheduled Autonomous ExecutionEvent-Driven Autonomous ExecutionSelf-Correcting Execution相关概念Human-Out-of-the-LoopDelegated ExecutionRate LimitScope LimitSafe Mode权力边界自主执行权必须是预先约束的有限权力不能包含自主扩大权限或修改治理边界的能力。约束机制预授权槽位固定上限自动熔断结果验证时间窗口本地 Policy超限转人工。结果目标实现无需逐次人工确认的效率同时保持最大损失和影响范围可计算。在 Havenlon 中Agent 可以在低风险 Execution Slot 内自主执行超出范围自动转入治理和审批流程。8. Machine-Initiated Execution机器发起执行一句话定义机器发起执行是由软件、Agent、规则引擎或自动化系统主动产生执行 Intent 的模式。严格定义机器发起的来源可以是AI Agent定时任务监控告警规则引擎工作流事件总线其他系统回调异常恢复逻辑。机器发起并不意味着机器拥有批准权。它只表示Intent 的直接来源不是人类逐次输入而是机器状态和逻辑。机器发起风险包括错误事件触发重复触发污染数据触发错误上下文规则失效自动化级联多系统反馈循环。上位概念Execution Intent OriginAutomation下位概念Agent-Initiated ExecutionEvent-Initiated ExecutionRule-Initiated ExecutionSchedule-Initiated Execution相关概念Machine-Initiated IntentProposerAutonomous ExecutionTool CallingAutomation Cascade权力边界机器发起只获得提议权不自动获得审批、仲裁和最终执行权。约束机制机器身份Intent 类型触发证据去重频率限制作用域独立执行验证。结果目标让机器能够主动工作但每次真实执行仍有明确责任链和边界。在 Havenlon 中机器发起的 Intent 与人工 Intent 使用同一执行链并明确记录 Agent Identity 和触发来源。9. Delegated Execution委托执行一句话定义委托执行是人类、组织或系统将有限范围内的执行能力授权给 Agent 或自动化系统使用的模式。严格定义委托执行必须明确委托者被委托主体委托目标允许工具允许对象允许额度允许频率有效期是否允许再委托是否允许自动重试撤销方式证据要求。委托不应被理解为把委托者全部权力复制给 Agent。安全委托是将完成特定任务所需的最小执行能力在有限时间和范围内授予 Agent。上位概念AuthorizationAgent Authority下位概念Human-to-Agent DelegationSystem-to-Agent DelegationAgent-to-Agent DelegationTemporary DelegationRevocable Delegation相关概念Non-Transferable AuthorityAuthority InheritanceTool PermissionScope LimitDelegated Intent权力边界被委托者不能自动再委托也不能将工具权限扩展到新的对象和场景。约束机制明确委托凭证不可传递作用域有效期撤销单次或次数限制委托证据。结果目标让 Agent 可以代表主体完成任务但不会成为主体全部权力的数字复制品。在 Havenlon 中Agent 的执行能力绑定具体 Execution SlotOwner 权力不会自动继承给 Agent。